CVE-2026-41567
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Moby (Docker Engine) przed wersjami 29.5.1 i v2.0.0-beta.14 zawiera podatność, w której podczas rozpakowywania archiwum w kontenerze demon używa binariów dekompresji z systemu plików kontenera. Złośliwy obraz może podmienić te binaria, co prowadzi do wykonania kodu z pełnymi uprawnieniami demona.
Ocena ryzyka
Użytkownik przesyłający skompresowane archiwum do złośliwego kontenera może doprowadzić do przejęcia hosta Docker z uprawnieniami roota.
Rekomendacja
Należy zaktualizować Docker Engine do wersji 29.5.1 lub moby/moby do v2.0.0-beta.14. Jako tymczasowe zabezpieczenie stosować tylko zaufane obrazy i ograniczyć dostęp do endpointu PUT /containers/{id}/archive.
Inne podatności w Moby
Zobacz wszystkie- CVE-2026-34040Wysokie
Moby to otwarte źródło frameworka kontenerowego. Przed wersją 29.3.1 wykryto podatność, która pozwala atakującym na ominięcie wtyczek autoryzacyjnych (AuthZ). Problem został naprawiony w wersji 29.3.1.
- CVE-2026-33997Średnie
Moby (Docker) przed wersją 29.3.1 ma podatność, która pozwala ominąć walidację uprawnień wtyczek podczas instalacji. Demon może zaakceptować zestaw uprawnień różniący się od zatwierdzonego przez użytkownika, a w przypadku wtyczek z jednym uprawnieniem porównanie w ogóle nie jest wykonywane.
Oryginalny opis (angielski, źródło NVD)
Moby is an open source container framework. In versions prior to 29.5.1 and in moby/moby v2 prior to v2.0.0-beta.14, when a compressed archive is uploaded to a container via `PUT /containers/{id}/archive` or piped through `docker cp -`, the daemon resolves decompression binaries (such as `xz` or `unpigz`) from the container's filesystem rather than the host's due to incorrect ordering of operations. A malicious container image containing a trojanized decompression binary can achieve arbitrary code execution with full daemon privileges, including host root UID and unrestricted capabilities, when a user uploads a compressed (xz or gzip) archive into that container. This issue is fixed in Docker Engine 29.5.1 and moby/moby v2.0.0-beta.14. Workarounds include only running containers from trusted images, using authorization plugins to restrict access to the `PUT /containers/{id}/archive` endpoint, and avoiding piping compressed archives into containers created from untrusted images